AI 서비스의 경쟁력은 점점 ‘얼마나 많은 데이터를 모으는가’가 아니라 ‘얼마나 적게 노출하면서도 유용한 신호를 얻는가’에 달려 있습니다. 특히 모바일 기기에서 실행되는 안전 기능, 입력 보조, 음성 처리, 콘텐츠 감지 같은 기능은 사용자 경험을 개선하려면 실제 사용 환경의 품질 신호가 필요하지만, 동시에 사용자의 민감한 데이터가 중앙으로 모이는 구조는 피해야 합니다.
이 지점에서 주목할 개념이 제로 트러스트 집계입니다. 핵심은 분석 자체를 포기하는 것이 아니라, 분석 과정에서 신뢰해야 하는 대상을 줄이는 것입니다. 서버, 네트워크, 운영자, 실행 환경 중 어느 하나를 무조건 믿는 방식이 아니라, 설계 단계부터 “일부가 실패하거나 침해되어도 개인 데이터가 드러나지 않도록” 만드는 접근에 가깝습니다.
제로 트러스트는 제품명이 아니라 운영 철학이다
제로 트러스트는 기존의 “신뢰하되 검증한다”는 관점보다 더 엄격합니다. 모든 네트워크와 트래픽을 잠재적 위협으로 보고, 사용자와 시스템의 신뢰성을 계속 인증·모니터링·검증하는 사이버보안 접근법입니다.1
따라서 제로 트러스트 아키텍처는 특정 솔루션 하나를 도입한다고 완성되지 않습니다. 산업 및 기업 인프라와 워크플로에 제로 트러스트 원칙을 내장하려면 신원 확인, 지속적 모니터링, 도구 간 연결, 사용자 행동과 기타 데이터 분석, 실시간 이벤트 관찰, 방어 조정 같은 기능이 함께 작동해야 합니다.1
이 관점을 데이터 분석에 적용하면 질문이 바뀝니다. “데이터를 안전한 서버에 저장했는가?”가 아니라 “분석 과정 전체에서 원본 데이터를 볼 수 있는 지점이 얼마나 남아 있는가?”를 따져야 합니다. 제로 트러스트 집계는 바로 이 질문에 대한 기술적 응답입니다.
프라이버시 분석의 병목은 ‘수집’보다 ‘신뢰 경계’다
많은 조직은 개인정보 보호를 데이터 저장 위치의 문제로 생각합니다. 온프레미스에 둘지, 클라우드에 둘지, 어느 리전에 저장할지 같은 질문이 대표적입니다. 그러나 프라이버시 위험은 저장소에서만 발생하지 않습니다. 데이터가 전송되고, 복호화되고, 처리되고, 집계되고, 권한을 가진 주체가 접근하는 모든 단계가 위험 지점이 될 수 있습니다.
제로 트러스트 집계가 중요한 이유는 이 중간 처리 과정을 다시 설계하려 하기 때문입니다. 분석에 필요한 것은 대개 개별 사용자의 원본 데이터가 아니라 전체적인 경향, 오류 패턴, 품질 지표 같은 집계 결과입니다. 그렇다면 시스템은 처음부터 개별 데이터를 덜 드러내고, 집계된 결과만 의미 있게 남도록 설계되어야 합니다.
Google Research가 설명한 새 접근은 암호화 보안 집계와 신뢰 실행 환경(TEE)을 결합합니다.2 TEE는 격리된 실행 환경을 제공하고, 암호화 보안 집계는 개별 입력이 그대로 노출되지 않도록 돕는 방식입니다. 중요한 점은 둘 중 하나만 절대적으로 신뢰하는 구조가 아니라, 여러 보호 장치를 조합해 단일 실패 지점에 대한 의존도를 낮춘다는 데 있습니다.
온디바이스 기능이 늘수록 ‘집계의 설계’가 중요해진다
모바일 AI와 안전 기능은 점점 기기 안에서 실행되는 방향으로 이동하고 있습니다. 사용자의 콘텐츠나 행동 맥락을 외부 서버로 보내지 않고 처리할 수 있다면 개인정보 보호 측면에서 유리합니다. 하지만 운영자는 여전히 기능이 제대로 작동하는지, 어떤 환경에서 품질 문제가 생기는지, 개선이 필요한 영역이 어디인지 알아야 합니다.
여기서 확인된 사례가 Android 생태계입니다. Android System SafetyCore는 Android 9 이상 기기를 위한 Google 시스템 서비스이며, Android 안전 기능을 위해 개인정보 보호형 온디바이스 지원을 제공합니다.2 또한 Google 팀은 Pixel Recorder와 Gboard 등에서 연합 분석을 사용해 왔고, Pixel Recorder 앱에는 TEE 기반 차등 개인정보 보호 집계를 배포했습니다.2
이 사실들이 시사하는 바는 단순한 기능 업데이트 이상의 의미를 가집니다. 온디바이스 처리는 데이터를 기기 밖으로 덜 내보내는 방향을 제시하지만, 제품 개선을 위한 분석 수요 자체를 없애지는 않습니다. 따라서 다음 단계의 과제는 “기기에서 처리한다”를 넘어 “기기 밖으로 나가는 신호가 어떤 형태로 보호되고 집계되는가”입니다.
기업이 얻을 교훈: 분석 파이프라인을 보안 아키텍처로 보라
제로 트러스트 집계는 소비자용 모바일 기능에만 해당하는 이야기가 아닙니다. 기업의 로그 분석, 품질 모니터링, 보안 이벤트 분석, 사용성 개선 과정에서도 비슷한 긴장이 존재합니다. 더 나은 서비스를 만들려면 데이터를 봐야 하지만, 너무 많이 보면 위험이 커집니다.
따라서 기업은 분석 파이프라인을 단순한 데이터 처리 시스템이 아니라 보안 아키텍처의 일부로 봐야 합니다. 검토해야 할 질문은 다음과 같습니다.
원본 데이터가 어느 단계에서 평문으로 존재하는가?
집계 전 데이터에 접근 가능한 주체는 누구인가?
실행 환경은 검증 가능한가?
하나의 구성요소가 침해되어도 개인 데이터 보호가 유지되는가?
집계 결과가 개인 재식별 위험을 낮추도록 설계되어 있는가?
모니터링, 인증, 검증이 일회성이 아니라 지속적으로 작동하는가?
이 질문들은 제로 트러스트 아키텍처의 일반 원칙과도 맞닿아 있습니다. 신뢰를 전제로 시스템을 만든 뒤 사후에 보호 장치를 붙이는 방식보다, 처음부터 신뢰 경계를 좁히고 검증 가능한 흐름을 만드는 편이 장기적으로 더 강한 설계가 될 수 있습니다.
남는 쟁점: 보호와 유용성의 균형
제로 트러스트 집계가 모든 문제를 자동으로 해결하는 것은 아닙니다. 개인정보 보호가 강해질수록 분석의 세밀함은 제한될 수 있고, 암호화와 격리 실행 환경을 결합하면 시스템 복잡도도 높아질 수 있습니다. 또한 제로 트러스트 아키텍처 자체가 단일 기술이나 제품만으로 달성되지 않는다는 점에서, 조직의 운영 방식과 보안 거버넌스도 함께 바뀌어야 합니다.1
그럼에도 방향성은 분명합니다. 앞으로의 프라이버시 분석은 “데이터를 수집한 뒤 보호한다”보다 “보호된 형태로만 분석 가능하게 만든다”에 가까워질 가능성이 큽니다. 특히 온디바이스 AI, 안전 기능, 개인화 기능이 확산될수록 개별 데이터 접근 없이 집계된 신호를 얻는 기술은 더 중요해질 것입니다.
앞으로 볼 것
독자가 주목해야 할 부분은 특정 기업의 한 가지 구현보다 더 넓습니다. 첫째, 온디바이스 기능이 늘어날수록 어떤 데이터가 기기 밖으로 나가는지 살펴봐야 합니다. 둘째, 기업들이 분석 시스템에 암호화, TEE, 차등 개인정보 보호, 연합 분석 같은 보호 장치를 어떻게 조합하는지 봐야 합니다. 셋째, 제로 트러스트가 보안 네트워크 전략을 넘어 데이터 분석 설계 원칙으로 확장되는 흐름을 주시할 필요가 있습니다.
결국 제로 트러스트 집계의 의미는 분석을 멈추자는 데 있지 않습니다. 개인을 드러내지 않는 방식으로만 분석하자는 데 있습니다. AI 시대의 신뢰는 더 많은 데이터를 보는 능력이 아니라, 덜 믿어도 작동하는 시스템을 만드는 능력에서 나올 것입니다.
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.